_{Renaissance-Maskerade. Nimm Platz im Sitz des Agenten.}

masq

Nimm Platz im Sitz des Agenten.

Eine CLI, die MCP und OpenAI-kompatibel so spricht wie das Modell und dann wie linpeas berichtet. Befunde plus Behebungen. Keine Exploit-Payloads. Kein CoT-Entschlüsseln.

Warum es das gibt

Statische MCP-Scanner (Invariant mcp-scan, mcp-security-scan) linten Schemas und Konfigurationen. Health-Checks pingen initialize. Die Lücke ist der seat:

1. Verschlüsselte Reasoning-Blobs werden an den Client zurückgespielt und in Sitzungsprotokollen gespeichert. Sie sind über Sitzungen, Benutzer und schwächere Schwestermodelle hinweg portabel (arXiv:2608.09867). Das Scraping von 315k öffentlichen Blobs förderte 182 Zugangsdaten zutage. masq erkennt diese Blobs. Es dekodiert sie nicht.
2. Ein großer Teil der öffentlichen MCP-Server hat keine Authentifizierung. Wenn du initialize kannst, bist du der Agent.
3. Lokale Modell-Ports (:11434, :8000) binden oft 0.0.0.0 ohne Bearer-Token.

Räder, auf denen wir fahren, nicht neu erfinden: bestehende Katalog-Detektoren + Pin/Check, netstat, ureq nur-GET, OWASP MCP Top 10 als Befund-Taxonomie. Wir haben weder mcp-scan noch mcp-security-scan geklont.

Installation

git clone https://gitlab.com/WattoCyber/masq.git
cd masq
cargo install --path .
# binary: masq
cargo test
# expect: exit 0

World-Suite (Binärdatei gegen Fixtures, lokale Mocks, Recon dieses Hosts):

python scripts/world_suite.py
# field = ~/.grok/sessions  lab = allowlisted hosts  bench = frozen-corpus wall
python scripts/world_suite.py --lanes all

Kali-artige Remote-Box, vom Desktop aus:

MASQ_REMOTE_HOST=user@host bash scripts/deploy_kali.sh
# on the box:
~/.local/bin/masq --plain
MASQ_LAB_HOSTS=... ~/.local/bin/masq --lab --plain

Happy path

masq                         # live stream + posture report (includes skills)
masq --lab                   # same, plus allowlisted homelab hosts
masq tui                     # boxed TUI, stays until Ctrl+C
masq --plain                 # report only, no live stream
masq --json                  # machine report
masq recon                   # same dump, recon only
masq sniff ~/.grok/sessions  # CoT / secrets in session logs
masq sniff --timeline PATH   # file-order blob/secret/reason lines (no decrypt)
masq api                     # GET /v1/models on local (and --lab) ports
masq sit --url http://127.0.0.1:4443/mcp
masq chameleon --url http://127.0.0.1:4443/mcp -o /tmp/chameleon
masq chameleon --url ws://127.0.0.1:9000/mcp -o /tmp/chameleon
masq chameleon --url unix:///tmp/mcp.sock -o /tmp/chameleon
masq chameleon --token-file ~/.secrets/mcp.txt --url http://127.0.0.1:9/mcp -o /tmp/chameleon
masq chameleon -- python -m their_mcp -o /tmp/chameleon
# then: npx -y @copilotkit/aimock --config /tmp/chameleon/aimock.json
masq discover                # find VS Code / Cursor / Claude / Grok / Hermes MCP configs
masq proxy --upstream http://127.0.0.1:4443/mcp --block
masq sast ./server           # local sinks (semgrep if present)
masq classify --url http://127.0.0.1:4443/mcp --lab
masq overnight --lab --hours 6
masq map --from reports/overnight-YYYYMMDD/latest.json

# catalog
masq fixtures/t3_line_jump.json
masq fixtures/clean_calculator.json --trusted
masq pin fixtures/clean_calculator.json -k calc
masq check fixtures/clean_calculator.json -k calc
masq detectors

Exit: 0 sauber · 2 Befunde ≥ --fail-on (Standard: high) · 1 Fehler.

TUI ist optional (masq tui oder --tui). Standard auf einem tty ist ein Linpeas-Livestream, dann der Bericht. Cron nutzt --plain / --no-color.

Befehle

Aliasse: doctor / audit → scan. chameleon → mimic. posture → seat.

Module vs. OWASP MCP Top 10

Transporte und Authentifizierung

sit / chameleon sprechen:

• Streamable HTTP (http://)
• HTTP+SSE (GET-Endpunkt-Ereignis, dann POST)
• ws://
• unix: und npipe:
• stdio (--framing auto versucht NDJSON, dann Content-Length)

Auth (wird nie in den Bericht geschrieben):

• --token-file PATH (die erste Zeile wird zu Authorization: Bearer …)
• --token-env VAR
• --header "Name: value" (wiederholbar)

wss:// ist nicht eingebaut. Stunnel zu ws:// oder HTTP verwenden. HTTP folgt null Redirects.

Stdio-initialize bewirbt kein sampling. Server-sampling / elicitation kennzeichnen. Docs-URLs (model-catalog.json, /docs/) werden absichtlich ignoriert.

Von masq entdeckte Hosts

Config- und Skill-Wurzeln unter $HOME / %USERPROFILE%:

VS Code, Cursor, Windsurf, Claude Desktop, Claude Code, Grok, Hermes, Codex, Continue, Gemini CLI, Amp, Kiro, OpenCode, Amazon Q, Antigravity, OpenClaw.

Außerdem .mcp.json im aktuellen Arbeitsverzeichnis und MASQ_EXTRA_CONFIG (OS-Pfadliste).

Lab-Allowlist (--lab)

--lab ist eine Allowlist, kein /24-Scan. Sie ist operator-konfiguriert. Über Loopback hinaus ist nichts einkompiliert.

• Env-Variable MASQ_LAB_HOSTS: durch Komma, Leerzeichen oder Zeilenumbruch getrennte host:port oder Hosts.
• Datei .masq/lab-hosts: ein Host pro Zeile, #-Kommentare.

Beispiel:

export MASQ_LAB_HOSTS="192.0.2.10,192.0.2.11"
masq --lab

MASQ_LAB_HOSTS wird für API-Probes und das TUI-Fleet-Rollup gelesen. MASQ_SIT_URLS (oder ein --mcp-url) liefert MCP-URLs zum Sitzen mit --lab.

sit --url außerhalb von Loopback benötigt --lab und einen allowlisteten Host. Unauthentifiziertes initialize auf Loopback ist High. Außerhalb der Box ist Critical.

Richte proxy nicht auf einen Host, auf den du nicht sitzen würdest.

Harte Grenzen

Sniff-Priorität: zuerst chat_history.jsonl, dann Hermes request_dump_*, dann andere jsonl. Der Walk läuft zu Ende. Es behält nicht die ersten 300 WalkDir-Treffer. Richte masq sniff <ein-Sitzungsverzeichnis> auf ein einzelnes Verzeichnis, um tiefer zu gehen.

Overnight

masq overnight --lab --hours 6 --interval-mins 20
# writes <cwd>/reports/overnight-YYYYMMDD/{latest.json,latest.md,latest.txt,delta.txt}

Mutiert keine Konfigurationen. Führt kein tools/call am Live-Server aus. delta.txt enthält baseline / no_change / CHANGE plus + severity title und - severity title.

classify --llm und das TUI-Triage-Add-on sind die einzigen Completions-POSTs (Grok /v1/chat/completions, Operator-Bestätigung). Ohne Key: nur lokale Behebungen. Key von XAI_API_KEY oder ~/.secrets/xai.txt. Wird nie ausgegeben.

Architektur

CLI (clap)  masq
  → seat | recon | sniff | api | sit | chameleon
  → discover | proxy | sast | classify | overnight | map
  → scan | multi | pin | check | detectors | tui
  → client (HTTP / SSE / ws / unix / npipe / stdio)
  → normalize (full-schema walk, caps)
  → detectors + sniff + recon + sit findings
  → report (text / JSON / Markdown) + optional TUI

Library-Crate: masq (scan_from_tools_list, scan_stdio, run_seat, PostureReport).

Ehrlicher Umfang

Gib ~/.secrets nicht aus. Recon zählt Dateien. Pfad + „loaded“.

Offline-Tests

cargo test
cargo clippy --all-targets -- -D warnings

Erwarte Exit 0.

Fixtures: T1-Beschreibungs-Poisoning, T3-Zeilensprung, T6-Parameternamen, T8-ANSI, T13-Duplikatnamen, Pin-Rugpull, Multi-List, Live-NDJSON-Mock unter tests/mock_mcp_server.py.

Secrets bleiben außerhalb von Git (reports/, data/, .env, *.key, secrets/, .masq/).

Lizenz

MIT. Copyright 2026 SamsonCyber.